password_hash() / password_verify()

// パスワードをハッシュ化します。
password_hash($password, $algo, $options);

// パスワードとハッシュを検証します。
password_verify($password, $hash);

// ハッシュの再計算が必要かどうかを判定します。
password_needs_rehash($hash, $algo, $options);

<?php
// パスワードをハッシュ化します。
$password = "my_secure_password";
$hash = password_hash($password, PASSWORD_DEFAULT);
echo $hash; // 『$2y$10$...』のような60文字のハッシュが出力されます。

// 同じパスワードでも毎回異なるハッシュが生成されます。
$hash1 = password_hash($password, PASSWORD_DEFAULT);
$hash2 = password_hash($password, PASSWORD_DEFAULT);
var_dump($hash1 === $hash2); // 『bool(false)』と出力されます。ソルトが異なるためです。

// password_verify() でパスワードを検証します。
if (password_verify("my_secure_password", $hash)) {
	echo "認証に成功しました。";
} else {
	echo "パスワードが正しくありません。";
}

// ログイン処理の実装例です。
$input_password = $_POST['password'] ?? '';
$stored_hash = '$2y$10$abcdefghijklmnopqrstuuABCDEFGHIJKLMNOPQRSTUVWXYZ012'; // DBから取得したハッシュ

if (password_verify($input_password, $stored_hash)) {
	// 必要に応じてハッシュを再計算します。
	if (password_needs_rehash($stored_hash, PASSWORD_DEFAULT)) {
		$new_hash = password_hash($input_password, PASSWORD_DEFAULT);
		// DBのハッシュを $new_hash で更新します。
	}
	echo "ログイン成功";
} else {
	echo "ログイン失敗";
}

// コストオプションを指定する例です。
$options = ['cost' => 12]; // デフォルトは10。値が大きいほど安全だが処理が遅くなります。
$hash = password_hash($password, PASSWORD_BCRYPT, $options);

『password_hash()』はPHPでパスワードを安全に保存するための標準関数です。自動的にランダムなソルトを付加し、bcrypt などの強力なアルゴリズムでハッシュ化します。パスワードの保存には必ず『password_hash()』を使用してください。『md5()』や『sha1()』でパスワードをハッシュ化することは絶対に避けてください。これらは高速すぎるため総当たり攻撃に対して脆弱です。

『password_verify()』はハッシュからソルトとアルゴリズムを自動的に読み取るため、検証時にソルトを別途管理する必要がありません。また、タイミング攻撃に対して安全な比較を行います。

『password_needs_rehash()』はアルゴリズムやコストの設定を変更した場合に、既存のハッシュを新しい設定で再計算すべきかどうかを判定します。ログイン成功時にこのチェックを入れておくと、セキュリティの向上をユーザーに意識させることなく段階的に移行できます。ハッシュ値の生成全般については『hash()』を参照してください。